]> git.bitcoin.ninja Git - rust-lightning/blob - lightning/src/ln/inbound_payment.rs
Adapt intro node process_pending_htlcs test for non-intro nodes
[rust-lightning] / lightning / src / ln / inbound_payment.rs
1 // This file is Copyright its original authors, visible in version control
2 // history.
3 //
4 // This file is licensed under the Apache License, Version 2.0 <LICENSE-APACHE
5 // or http://www.apache.org/licenses/LICENSE-2.0> or the MIT license
6 // <LICENSE-MIT or http://opensource.org/licenses/MIT>, at your option.
7 // You may not use this file except in accordance with one or both of these
8 // licenses.
9
10 //! Utilities to generate inbound payment information in service of invoice creation.
11
12 use alloc::string::ToString;
13 use bitcoin::hashes::{Hash, HashEngine};
14 use bitcoin::hashes::cmp::fixed_time_eq;
15 use bitcoin::hashes::hmac::{Hmac, HmacEngine};
16 use bitcoin::hashes::sha256::Hash as Sha256;
17 use crate::sign::{KeyMaterial, EntropySource};
18 use crate::ln::{PaymentHash, PaymentPreimage, PaymentSecret};
19 use crate::ln::msgs;
20 use crate::ln::msgs::MAX_VALUE_MSAT;
21 use crate::crypto::chacha20::ChaCha20;
22 use crate::crypto::utils::hkdf_extract_expand_5x;
23 use crate::util::errors::APIError;
24 use crate::util::logger::Logger;
25
26 use core::convert::{TryFrom, TryInto};
27 use core::ops::Deref;
28
29 pub(crate) const IV_LEN: usize = 16;
30 const METADATA_LEN: usize = 16;
31 const METADATA_KEY_LEN: usize = 32;
32 const AMT_MSAT_LEN: usize = 8;
33 // Used to shift the payment type bits to take up the top 3 bits of the metadata bytes, or to
34 // retrieve said payment type bits.
35 const METHOD_TYPE_OFFSET: usize = 5;
36
37 /// A set of keys that were HKDF-expanded from an initial call to
38 /// [`NodeSigner::get_inbound_payment_key_material`].
39 ///
40 /// [`NodeSigner::get_inbound_payment_key_material`]: crate::sign::NodeSigner::get_inbound_payment_key_material
41 pub struct ExpandedKey {
42         /// The key used to encrypt the bytes containing the payment metadata (i.e. the amount and
43         /// expiry, included for payment verification on decryption).
44         metadata_key: [u8; 32],
45         /// The key used to authenticate an LDK-provided payment hash and metadata as previously
46         /// registered with LDK.
47         ldk_pmt_hash_key: [u8; 32],
48         /// The key used to authenticate a user-provided payment hash and metadata as previously
49         /// registered with LDK.
50         user_pmt_hash_key: [u8; 32],
51         /// The base key used to derive signing keys and authenticate messages for BOLT 12 Offers.
52         offers_base_key: [u8; 32],
53         /// The key used to encrypt message metadata for BOLT 12 Offers.
54         offers_encryption_key: [u8; 32],
55 }
56
57 impl ExpandedKey {
58         /// Create a  new [`ExpandedKey`] for generating an inbound payment hash and secret.
59         ///
60         /// It is recommended to cache this value and not regenerate it for each new inbound payment.
61         pub fn new(key_material: &KeyMaterial) -> ExpandedKey {
62                 let (
63                         metadata_key,
64                         ldk_pmt_hash_key,
65                         user_pmt_hash_key,
66                         offers_base_key,
67                         offers_encryption_key,
68                 ) = hkdf_extract_expand_5x(b"LDK Inbound Payment Key Expansion", &key_material.0);
69                 Self {
70                         metadata_key,
71                         ldk_pmt_hash_key,
72                         user_pmt_hash_key,
73                         offers_base_key,
74                         offers_encryption_key,
75                 }
76         }
77
78         /// Returns an [`HmacEngine`] used to construct [`Offer::metadata`].
79         ///
80         /// [`Offer::metadata`]: crate::offers::offer::Offer::metadata
81         pub(crate) fn hmac_for_offer(
82                 &self, nonce: Nonce, iv_bytes: &[u8; IV_LEN]
83         ) -> HmacEngine<Sha256> {
84                 let mut hmac = HmacEngine::<Sha256>::new(&self.offers_base_key);
85                 hmac.input(iv_bytes);
86                 hmac.input(&nonce.0);
87                 hmac
88         }
89
90         /// Encrypts or decrypts the given `bytes`. Used for data included in an offer message's
91         /// metadata (e.g., payment id).
92         pub(crate) fn crypt_for_offer(&self, mut bytes: [u8; 32], nonce: Nonce) -> [u8; 32] {
93                 ChaCha20::encrypt_single_block_in_place(&self.offers_encryption_key, &nonce.0, &mut bytes);
94                 bytes
95         }
96 }
97
98 /// A 128-bit number used only once.
99 ///
100 /// Needed when constructing [`Offer::metadata`] and deriving [`Offer::signing_pubkey`] from
101 /// [`ExpandedKey`]. Must not be reused for any other derivation without first hashing.
102 ///
103 /// [`Offer::metadata`]: crate::offers::offer::Offer::metadata
104 /// [`Offer::signing_pubkey`]: crate::offers::offer::Offer::signing_pubkey
105 #[derive(Clone, Copy, Debug, PartialEq)]
106 pub(crate) struct Nonce(pub(crate) [u8; Self::LENGTH]);
107
108 impl Nonce {
109         /// Number of bytes in the nonce.
110         pub const LENGTH: usize = 16;
111
112         /// Creates a `Nonce` from the given [`EntropySource`].
113         pub fn from_entropy_source<ES: Deref>(entropy_source: ES) -> Self
114         where
115                 ES::Target: EntropySource,
116         {
117                 let mut bytes = [0u8; Self::LENGTH];
118                 let rand_bytes = entropy_source.get_secure_random_bytes();
119                 bytes.copy_from_slice(&rand_bytes[..Self::LENGTH]);
120
121                 Nonce(bytes)
122         }
123
124         /// Returns a slice of the underlying bytes of size [`Nonce::LENGTH`].
125         pub fn as_slice(&self) -> &[u8] {
126                 &self.0
127         }
128 }
129
130 impl TryFrom<&[u8]> for Nonce {
131         type Error = ();
132
133         fn try_from(bytes: &[u8]) -> Result<Self, ()> {
134                 if bytes.len() != Self::LENGTH {
135                         return Err(());
136                 }
137
138                 let mut copied_bytes = [0u8; Self::LENGTH];
139                 copied_bytes.copy_from_slice(bytes);
140
141                 Ok(Self(copied_bytes))
142         }
143 }
144
145 enum Method {
146         LdkPaymentHash = 0,
147         UserPaymentHash = 1,
148         LdkPaymentHashCustomFinalCltv = 2,
149         UserPaymentHashCustomFinalCltv = 3,
150 }
151
152 impl Method {
153         fn from_bits(bits: u8) -> Result<Method, u8> {
154                 match bits {
155                         bits if bits == Method::LdkPaymentHash as u8 => Ok(Method::LdkPaymentHash),
156                         bits if bits == Method::UserPaymentHash as u8 => Ok(Method::UserPaymentHash),
157                         bits if bits == Method::LdkPaymentHashCustomFinalCltv as u8 => Ok(Method::LdkPaymentHashCustomFinalCltv),
158                         bits if bits == Method::UserPaymentHashCustomFinalCltv as u8 => Ok(Method::UserPaymentHashCustomFinalCltv),
159                         unknown => Err(unknown),
160                 }
161         }
162 }
163
164 fn min_final_cltv_expiry_delta_from_metadata(bytes: [u8; METADATA_LEN]) -> u16 {
165         let expiry_bytes = &bytes[AMT_MSAT_LEN..];
166         u16::from_be_bytes([expiry_bytes[0], expiry_bytes[1]])
167 }
168
169 /// Equivalent to [`crate::ln::channelmanager::ChannelManager::create_inbound_payment`], but no
170 /// `ChannelManager` is required. Useful for generating invoices for [phantom node payments] without
171 /// a `ChannelManager`.
172 ///
173 /// `keys` is generated by calling [`NodeSigner::get_inbound_payment_key_material`] and then
174 /// calling [`ExpandedKey::new`] with its result. It is recommended to cache this value and not
175 /// regenerate it for each new inbound payment.
176 ///
177 /// `current_time` is a Unix timestamp representing the current time.
178 ///
179 /// Note that if `min_final_cltv_expiry_delta` is set to some value, then the payment will not be receivable
180 /// on versions of LDK prior to 0.0.114.
181 ///
182 /// [phantom node payments]: crate::sign::PhantomKeysManager
183 /// [`NodeSigner::get_inbound_payment_key_material`]: crate::sign::NodeSigner::get_inbound_payment_key_material
184 pub fn create<ES: Deref>(keys: &ExpandedKey, min_value_msat: Option<u64>,
185         invoice_expiry_delta_secs: u32, entropy_source: &ES, current_time: u64,
186         min_final_cltv_expiry_delta: Option<u16>) -> Result<(PaymentHash, PaymentSecret), ()>
187         where ES::Target: EntropySource
188 {
189         let metadata_bytes = construct_metadata_bytes(min_value_msat, if min_final_cltv_expiry_delta.is_some() {
190                         Method::LdkPaymentHashCustomFinalCltv
191                 } else {
192                         Method::LdkPaymentHash
193                 }, invoice_expiry_delta_secs, current_time, min_final_cltv_expiry_delta)?;
194
195         let mut iv_bytes = [0 as u8; IV_LEN];
196         let rand_bytes = entropy_source.get_secure_random_bytes();
197         iv_bytes.copy_from_slice(&rand_bytes[..IV_LEN]);
198
199         let mut hmac = HmacEngine::<Sha256>::new(&keys.ldk_pmt_hash_key);
200         hmac.input(&iv_bytes);
201         hmac.input(&metadata_bytes);
202         let payment_preimage_bytes = Hmac::from_engine(hmac).to_byte_array();
203
204         let ldk_pmt_hash = PaymentHash(Sha256::hash(&payment_preimage_bytes).to_byte_array());
205         let payment_secret = construct_payment_secret(&iv_bytes, &metadata_bytes, &keys.metadata_key);
206         Ok((ldk_pmt_hash, payment_secret))
207 }
208
209 /// Equivalent to [`crate::ln::channelmanager::ChannelManager::create_inbound_payment_for_hash`],
210 /// but no `ChannelManager` is required. Useful for generating invoices for [phantom node payments]
211 /// without a `ChannelManager`.
212 ///
213 /// See [`create`] for information on the `keys` and `current_time` parameters.
214 ///
215 /// Note that if `min_final_cltv_expiry_delta` is set to some value, then the payment will not be receivable
216 /// on versions of LDK prior to 0.0.114.
217 ///
218 /// [phantom node payments]: crate::sign::PhantomKeysManager
219 pub fn create_from_hash(keys: &ExpandedKey, min_value_msat: Option<u64>, payment_hash: PaymentHash,
220         invoice_expiry_delta_secs: u32, current_time: u64, min_final_cltv_expiry_delta: Option<u16>) -> Result<PaymentSecret, ()> {
221         let metadata_bytes = construct_metadata_bytes(min_value_msat, if min_final_cltv_expiry_delta.is_some() {
222                         Method::UserPaymentHashCustomFinalCltv
223                 } else {
224                         Method::UserPaymentHash
225                 }, invoice_expiry_delta_secs, current_time, min_final_cltv_expiry_delta)?;
226
227         let mut hmac = HmacEngine::<Sha256>::new(&keys.user_pmt_hash_key);
228         hmac.input(&metadata_bytes);
229         hmac.input(&payment_hash.0);
230         let hmac_bytes = Hmac::from_engine(hmac).to_byte_array();
231
232         let mut iv_bytes = [0 as u8; IV_LEN];
233         iv_bytes.copy_from_slice(&hmac_bytes[..IV_LEN]);
234
235         Ok(construct_payment_secret(&iv_bytes, &metadata_bytes, &keys.metadata_key))
236 }
237
238 fn construct_metadata_bytes(min_value_msat: Option<u64>, payment_type: Method,
239         invoice_expiry_delta_secs: u32, highest_seen_timestamp: u64, min_final_cltv_expiry_delta: Option<u16>) -> Result<[u8; METADATA_LEN], ()> {
240         if min_value_msat.is_some() && min_value_msat.unwrap() > MAX_VALUE_MSAT {
241                 return Err(());
242         }
243
244         let mut min_amt_msat_bytes: [u8; AMT_MSAT_LEN] = match min_value_msat {
245                 Some(amt) => amt.to_be_bytes(),
246                 None => [0; AMT_MSAT_LEN],
247         };
248         min_amt_msat_bytes[0] |= (payment_type as u8) << METHOD_TYPE_OFFSET;
249
250         // We assume that highest_seen_timestamp is pretty close to the current time - it's updated when
251         // we receive a new block with the maximum time we've seen in a header. It should never be more
252         // than two hours in the future.  Thus, we add two hours here as a buffer to ensure we
253         // absolutely never fail a payment too early.
254         // Note that we assume that received blocks have reasonably up-to-date timestamps.
255         let expiry_timestamp = highest_seen_timestamp + invoice_expiry_delta_secs as u64 + 7200;
256         let mut expiry_bytes = expiry_timestamp.to_be_bytes();
257
258         // `min_value_msat` should fit in (64 bits - 3 payment type bits =) 61 bits as an unsigned integer.
259         // This should leave us with a maximum value greater than the 21M BTC supply cap anyway.
260         if min_value_msat.is_some() && min_value_msat.unwrap() > ((1u64 << 61) - 1) { return Err(()); }
261
262         // `expiry_timestamp` should fit in (64 bits - 2 delta bytes =) 48 bits as an unsigned integer.
263         // Bitcoin's block header timestamps are actually `u32`s, so we're technically already limited to
264         // the much smaller maximum timestamp of `u32::MAX` for now, but we check the u64 `expiry_timestamp`
265         // for future-proofing.
266         if min_final_cltv_expiry_delta.is_some() && expiry_timestamp > ((1u64 << 48) - 1) { return Err(()); }
267
268         if let Some(min_final_cltv_expiry_delta) = min_final_cltv_expiry_delta {
269                 let bytes = min_final_cltv_expiry_delta.to_be_bytes();
270                 expiry_bytes[0] |= bytes[0];
271                 expiry_bytes[1] |= bytes[1];
272         }
273
274         let mut metadata_bytes: [u8; METADATA_LEN] = [0; METADATA_LEN];
275
276         metadata_bytes[..AMT_MSAT_LEN].copy_from_slice(&min_amt_msat_bytes);
277         metadata_bytes[AMT_MSAT_LEN..].copy_from_slice(&expiry_bytes);
278
279         Ok(metadata_bytes)
280 }
281
282 fn construct_payment_secret(iv_bytes: &[u8; IV_LEN], metadata_bytes: &[u8; METADATA_LEN], metadata_key: &[u8; METADATA_KEY_LEN]) -> PaymentSecret {
283         let mut payment_secret_bytes: [u8; 32] = [0; 32];
284         let (iv_slice, encrypted_metadata_slice) = payment_secret_bytes.split_at_mut(IV_LEN);
285         iv_slice.copy_from_slice(iv_bytes);
286
287         ChaCha20::encrypt_single_block(
288                 metadata_key, iv_bytes, encrypted_metadata_slice, metadata_bytes
289         );
290         PaymentSecret(payment_secret_bytes)
291 }
292
293 /// Check that an inbound payment's `payment_data` field is sane.
294 ///
295 /// LDK does not store any data for pending inbound payments. Instead, we construct our payment
296 /// secret (and, if supplied by LDK, our payment preimage) to include encrypted metadata about the
297 /// payment.
298 ///
299 /// For payments without a custom `min_final_cltv_expiry_delta`, the metadata is constructed as:
300 ///   payment method (3 bits) || payment amount (8 bytes - 3 bits) || expiry (8 bytes)
301 ///
302 /// For payments including a custom `min_final_cltv_expiry_delta`, the metadata is constructed as:
303 ///   payment method (3 bits) || payment amount (8 bytes - 3 bits) || min_final_cltv_expiry_delta (2 bytes) || expiry (6 bytes)
304 ///
305 /// In both cases the result is then encrypted using a key derived from [`NodeSigner::get_inbound_payment_key_material`].
306 ///
307 /// Then on payment receipt, we verify in this method that the payment preimage and payment secret
308 /// match what was constructed.
309 ///
310 /// [`create_inbound_payment`] and [`create_inbound_payment_for_hash`] are called by the user to
311 /// construct the payment secret and/or payment hash that this method is verifying. If the former
312 /// method is called, then the payment method bits mentioned above are represented internally as
313 /// [`Method::LdkPaymentHash`]. If the latter, [`Method::UserPaymentHash`].
314 ///
315 /// For the former method, the payment preimage is constructed as an HMAC of payment metadata and
316 /// random bytes. Because the payment secret is also encoded with these random bytes and metadata
317 /// (with the metadata encrypted with a block cipher), we're able to authenticate the preimage on
318 /// payment receipt.
319 ///
320 /// For the latter, the payment secret instead contains an HMAC of the user-provided payment hash
321 /// and payment metadata (encrypted with a block cipher), allowing us to authenticate the payment
322 /// hash and metadata on payment receipt.
323 ///
324 /// See [`ExpandedKey`] docs for more info on the individual keys used.
325 ///
326 /// [`NodeSigner::get_inbound_payment_key_material`]: crate::sign::NodeSigner::get_inbound_payment_key_material
327 /// [`create_inbound_payment`]: crate::ln::channelmanager::ChannelManager::create_inbound_payment
328 /// [`create_inbound_payment_for_hash`]: crate::ln::channelmanager::ChannelManager::create_inbound_payment_for_hash
329 pub(super) fn verify<L: Deref>(payment_hash: PaymentHash, payment_data: &msgs::FinalOnionHopData,
330         highest_seen_timestamp: u64, keys: &ExpandedKey, logger: &L) -> Result<
331         (Option<PaymentPreimage>, Option<u16>), ()>
332         where L::Target: Logger
333 {
334         let (iv_bytes, metadata_bytes) = decrypt_metadata(payment_data.payment_secret, keys);
335
336         let payment_type_res = Method::from_bits((metadata_bytes[0] & 0b1110_0000) >> METHOD_TYPE_OFFSET);
337         let mut amt_msat_bytes = [0; AMT_MSAT_LEN];
338         let mut expiry_bytes = [0; METADATA_LEN - AMT_MSAT_LEN];
339         amt_msat_bytes.copy_from_slice(&metadata_bytes[..AMT_MSAT_LEN]);
340         expiry_bytes.copy_from_slice(&metadata_bytes[AMT_MSAT_LEN..]);
341         // Zero out the bits reserved to indicate the payment type.
342         amt_msat_bytes[0] &= 0b00011111;
343         let mut min_final_cltv_expiry_delta = None;
344
345         // Make sure to check the HMAC before doing the other checks below, to mitigate timing attacks.
346         let mut payment_preimage = None;
347
348         match payment_type_res {
349                 Ok(Method::UserPaymentHash) | Ok(Method::UserPaymentHashCustomFinalCltv) => {
350                         let mut hmac = HmacEngine::<Sha256>::new(&keys.user_pmt_hash_key);
351                         hmac.input(&metadata_bytes[..]);
352                         hmac.input(&payment_hash.0);
353                         if !fixed_time_eq(&iv_bytes, &Hmac::from_engine(hmac).to_byte_array().split_at_mut(IV_LEN).0) {
354                                 log_trace!(logger, "Failing HTLC with user-generated payment_hash {}: unexpected payment_secret", &payment_hash);
355                                 return Err(())
356                         }
357                 },
358                 Ok(Method::LdkPaymentHash) | Ok(Method::LdkPaymentHashCustomFinalCltv) => {
359                         match derive_ldk_payment_preimage(payment_hash, &iv_bytes, &metadata_bytes, keys) {
360                                 Ok(preimage) => payment_preimage = Some(preimage),
361                                 Err(bad_preimage_bytes) => {
362                                         log_trace!(logger, "Failing HTLC with payment_hash {} due to mismatching preimage {}", &payment_hash, log_bytes!(bad_preimage_bytes));
363                                         return Err(())
364                                 }
365                         }
366                 },
367                 Err(unknown_bits) => {
368                         log_trace!(logger, "Failing HTLC with payment hash {} due to unknown payment type {}", &payment_hash, unknown_bits);
369                         return Err(());
370                 }
371         }
372
373         match payment_type_res {
374                 Ok(Method::UserPaymentHashCustomFinalCltv) | Ok(Method::LdkPaymentHashCustomFinalCltv) => {
375                         min_final_cltv_expiry_delta = Some(min_final_cltv_expiry_delta_from_metadata(metadata_bytes));
376                         // Zero out first two bytes of expiry reserved for `min_final_cltv_expiry_delta`.
377                         expiry_bytes[0] &= 0;
378                         expiry_bytes[1] &= 0;
379                 }
380                 _ => {}
381         }
382
383         let min_amt_msat: u64 = u64::from_be_bytes(amt_msat_bytes.into());
384         let expiry = u64::from_be_bytes(expiry_bytes.try_into().unwrap());
385
386         if payment_data.total_msat < min_amt_msat {
387                 log_trace!(logger, "Failing HTLC with payment_hash {} due to total_msat {} being less than the minimum amount of {} msat", &payment_hash, payment_data.total_msat, min_amt_msat);
388                 return Err(())
389         }
390
391         if expiry < highest_seen_timestamp {
392                 log_trace!(logger, "Failing HTLC with payment_hash {}: expired payment", &payment_hash);
393                 return Err(())
394         }
395
396         Ok((payment_preimage, min_final_cltv_expiry_delta))
397 }
398
399 pub(super) fn get_payment_preimage(payment_hash: PaymentHash, payment_secret: PaymentSecret, keys: &ExpandedKey) -> Result<PaymentPreimage, APIError> {
400         let (iv_bytes, metadata_bytes) = decrypt_metadata(payment_secret, keys);
401
402         match Method::from_bits((metadata_bytes[0] & 0b1110_0000) >> METHOD_TYPE_OFFSET) {
403                 Ok(Method::LdkPaymentHash) | Ok(Method::LdkPaymentHashCustomFinalCltv) => {
404                         derive_ldk_payment_preimage(payment_hash, &iv_bytes, &metadata_bytes, keys)
405                                 .map_err(|bad_preimage_bytes| APIError::APIMisuseError {
406                                         err: format!("Payment hash {} did not match decoded preimage {}", &payment_hash, log_bytes!(bad_preimage_bytes))
407                                 })
408                 },
409                 Ok(Method::UserPaymentHash) | Ok(Method::UserPaymentHashCustomFinalCltv) => Err(APIError::APIMisuseError {
410                         err: "Expected payment type to be LdkPaymentHash, instead got UserPaymentHash".to_string()
411                 }),
412                 Err(other) => Err(APIError::APIMisuseError { err: format!("Unknown payment type: {}", other) }),
413         }
414 }
415
416 fn decrypt_metadata(payment_secret: PaymentSecret, keys: &ExpandedKey) -> ([u8; IV_LEN], [u8; METADATA_LEN]) {
417         let mut iv_bytes = [0; IV_LEN];
418         let (iv_slice, encrypted_metadata_bytes) = payment_secret.0.split_at(IV_LEN);
419         iv_bytes.copy_from_slice(iv_slice);
420
421         let mut metadata_bytes: [u8; METADATA_LEN] = [0; METADATA_LEN];
422         ChaCha20::encrypt_single_block(
423                 &keys.metadata_key, &iv_bytes, &mut metadata_bytes, encrypted_metadata_bytes
424         );
425
426         (iv_bytes, metadata_bytes)
427 }
428
429 // Errors if the payment preimage doesn't match `payment_hash`. Returns the bad preimage bytes in
430 // this case.
431 fn derive_ldk_payment_preimage(payment_hash: PaymentHash, iv_bytes: &[u8; IV_LEN], metadata_bytes: &[u8; METADATA_LEN], keys: &ExpandedKey) -> Result<PaymentPreimage, [u8; 32]> {
432         let mut hmac = HmacEngine::<Sha256>::new(&keys.ldk_pmt_hash_key);
433         hmac.input(iv_bytes);
434         hmac.input(metadata_bytes);
435         let decoded_payment_preimage = Hmac::from_engine(hmac).to_byte_array();
436         if !fixed_time_eq(&payment_hash.0, &Sha256::hash(&decoded_payment_preimage).to_byte_array()) {
437                 return Err(decoded_payment_preimage);
438         }
439         return Ok(PaymentPreimage(decoded_payment_preimage))
440 }